Considerazioni sulle chiavi DKIM

Panoramica

Quando si firmano i messaggi email digitalmente con un DKIM (DomainKeys Identified Mail), la chiave dimostra che il messaggio proveniva dal dominio. Quella firma è uno standard del settore.

Salesforce utilizza coppie di chiavi DKIM per firmare le email in uscita inviate per conto della società, il che aumenta la reputazione del dominio come mittente legittimo. Ogni coppia di chiavi DKIM è costituita da una chiave privata e una pubblica. Salesforce pubblica la chiave pubblica e le chiavi private sono archiviate in Salesforce. Queste chiavi collegate verificano il dominio email di invio e aiutano a verificare l'autenticità dei messaggi email in uscita.

Durante il trasporto della posta, Salesforce utilizza la chiave privata dell'utente per generare una firma DKIM e quindi aggiunge tale firma ai messaggi email in uscita. Quando il destinatario riceve l'email, la firma DKIM viene convalidata con la chiave pubblica tramite il record DNS pubblico del dominio. Questa convalida dimostra che il mittente è chi dichiara di essere.

In Salesforce, una chiave DKIM attiva verifica anche che si sia titolari del dominio. Salesforce può inviare email per conto degli utenti solo quando sia il dominio che l'indirizzo email sono verificati. Per ulteriori informazioni, vedere Requisiti per inviare email da Salesforce.

Rotazione chiave DKIM

Per motivi di sicurezza, Salesforce ruota le chiavi DKIM ogni 30 giorni. Il ciclo di rotazione inizia quando viene creata e pubblicata una coppia di chiavi DKIM.

Una coppia di chiavi DKIM contiene una chiave pubblica e una chiave privata.

• Chiave DKIM principale: La coppia di chiavi DKIM pubblica-privata principale e attiva.
• Chiave DKIM alternativa: Coppia di chiavi pubblica-privata secondaria inattiva, utilizzata per sostituire la coppia di chiavi principale durante la rotazione.

Quando si imposta una chiave DKIM, si impostano i record CNAME che puntano alle coppie di chiavi privata principale e secondaria. Salesforce ruota automaticamente le chiavi.

Tempistica rotazione

Di seguito è riportata la sequenza temporale degli eventi che iniziano la prima volta che viene pubblicata una chiave DKIM. Dopo aver attivato una chiave DKIM, Salesforce esegue automaticamente ciascuna di queste azioni.

• Giorno 0: Viene pubblicata la coppia di chiavi DKIM principale.
• Giorno 25: Salesforce crea una coppia di chiavi DKIM alternativa in preparazione alla rotazione. Salesforce pubblica la coppia di chiavi alternativa nel DNS, 5 giorni prima della rotazione, in modo che tutti i server DNS vengano a conoscenza della nuova coppia di chiavi.
• Giorno 30: Salesforce contrassegna la coppia di chiavi alternativa come attiva e firma i messaggi email con la nuova chiave attiva per i successivi 30 giorni.

Più coppie di chiavi DKIM

Se più chiavi DKIM attive corrispondono al dominio di invio, Salesforce utilizza la chiave con lo schema di corrispondenza del dominio corrispondente più lungo. Se più chiavi attive hanno lo stesso schema di corrispondenza più lungo, Salesforce seleziona in modo casuale una delle chiavi da utilizzare.

Esempio: L'email viene inviata da Salesforce con il dominio sales.mail.example.com. Se esistono coppie di chiavi DKIM per questi tre schemi di corrispondenza dei domini, Salesforce utilizza le chiavi in questo ordine.

• .sales.mail.example.com
• .mail.example.com
• .example.com

Esecuzione di query sulle chiavi DKIM

Per informazioni su come eseguire query sulle chiavi DKIM e sui domini di email autorizzati, vedere Visualizzazione di un elenco dei domini di invio email verificati

DKIM per la verifica email a livello di dominio

Salesforce richiede la verifica delle email a livello di dominio e di utente. Salesforce può inviare messaggi email per conto degli utenti solo al termine di entrambi i livelli di verifica.

Per la verifica a livello di dominio, il nome di dominio di una chiave DKIM attiva deve corrispondere all'intero dominio visualizzato nell'indirizzo 'Da'. Per evitare errori di consegna, attivare una chiave DKIM separata per ogni dominio e sottodominio di invio email. Vedere Requisiti per inviare email da Salesforce.

DKIM per la verifica email a livello di utente

Su richiesta dei nostri clienti, Salesforce offre la possibilità di utilizzare la verifica a livello di dominio per ignorare il requisito della verifica email a livello di utente. Tuttavia, Salesforce non consiglia questa opzione a causa dei rischi per la sicurezza. Per proteggere il marchio e l'azienda, Salesforce consiglia vivamente di abilitare Richiedi verifica email per tutte le chiavi DKIM attive. Vedere Considerazioni sull'invio di email da Salesforce.